Kurz gesagt: Ein Penetrationstest für Ihre PHP-Anwendung zeigt, welche Schwachstellen ein Angreifer tatsächlich ausnutzen könnte, bevor es jemand tut. Gemeinsam mit spezialisierten Partnern prüfen wir Anwendung und Server in einem schriftlich vereinbarten Umfang und liefern einen Bericht mit priorisierten Maßnahmen. Nach der Behebung prüfen wir in einem Nachtest, ob die Lücken geschlossen sind.
Warum ein Penetrationstest für PHP-Anwendungen sinnvoll ist
PHP2Shell hat gezeigt, dass selbst die Grundlage einer Anwendung, PHP selbst, eine kritische Lücke enthalten kann. Die meisten Einbrüche in PHP-Anwendungen laufen aber über bekannte Schwächen im eigenen Code oder in der Konfiguration: SQL-Injection, Cross-Site-Scripting, unsichere Datei-Uploads, schwache Sessions, veraltete Abhängigkeiten oder offene Admin-Bereiche. Die OWASP Top 10 fassen diese Kategorien zusammen.
Ein unabhängiger Blick von außen findet, was im Alltag übersehen wird. Für Geschäftsführung und Aufsicht liefert er eine belastbare Grundlage, um Risiken einzuschätzen und Budget gezielt einzusetzen. Für Entwickler ist er eine konkrete Arbeitsliste.
Audit oder Penetrationstest: was passt zu Ihnen?
| Form | Was geprüft wird | Geeignet, wenn |
|---|---|---|
| Konfigurationsaudit | Server, PHP, Webserver, Zugänge, Backups | Sie den Stand der Infrastruktur kennen wollen |
| Code-Review | Quellcode der Anwendung mit Einsicht | Eigenentwicklungen oder größere Anpassungen bestehen |
| Penetrationstest Black-Box | Anwendung von außen ohne Vorwissen | Sie die Sicht eines externen Angreifers sehen wollen |
| Penetrationstest Grey-/White-Box | Anwendung mit Testkonten oder Code | Sie in begrenzter Zeit möglichst viel finden wollen |
Oft ist eine Kombination sinnvoll, etwa ein Konfigurationsaudit des Servers zusammen mit einem Grey-Box-Test der Anwendung. Ein reiner Black-Box-Test wirkt realistisch, verbraucht aber viel Zeit mit dem Erkunden. Mit Testkonten und Einsicht in den Aufbau finden Prüfer in derselben Zeit in der Regel mehr Schwachstellen.
Neben der Anwendung lohnt der Blick auf die Umgebung: Welche PHP-Version läuft, sind Admin-Oberflächen öffentlich erreichbar, liegen Backups im Webverzeichnis, sind Abhängigkeiten aktuell? Solche Punkte prüfen wir im Audit mit, weil sie in der Praxis oft schwerer wiegen als ein einzelner Fehler im Code.
Wann ist der richtige Zeitpunkt für einen Test?
Ein Penetrationstest bringt am meisten, wenn er an einem sinnvollen Punkt im Lebenszyklus der Anwendung stattfindet. Typische Anlässe sind:
- vor dem Start einer neuen Anwendung, eines Shops oder Kundenportals
- nach größeren Änderungen, etwa neuen Zahlungswegen, Schnittstellen oder Login-Verfahren
- nach einem Vorfall, wenn Bereinigung und Härtung abgeschlossen sind und Sie eine unabhängige Kontrolle möchten
- in regelmäßigen Abständen, wenn Kunden, Partner oder Ihr Risikomanagement das verlangen
Wenig sinnvoll ist ein Test, solange bekannte Lücken offen sind. Wer noch ungepatchte PHP-Versionen betreibt, sollte zuerst den Grundstand herstellen. Sonst bezahlt man einen Test dafür, Bekanntes zu bestätigen.
Wie hilft PHP SOS konkret?
- Umfang festlegen: Wir klären mit Ihnen, welche Anwendungen, Server und Funktionen geprüft werden, welche Testart passt und was ausdrücklich ausgeschlossen ist. Ergebnis ist eine schriftliche Beauftragung mit Zeitfenster und Ansprechpartnern.
- Vorbereiten: Testkonten, Zugänge zur Testumgebung und ein aktuelles Backup werden bereitgestellt. Ihr Hoster wird bei Bedarf informiert, damit der Test nicht als echter Angriff gesperrt wird.
- Prüfen: Unsere spezialisierten Partner testen nach anerkannten Methoden, unter anderem entlang der OWASP-Kategorien. Kritische Funde melden wir sofort, nicht erst im Abschlussbericht.
- Berichten: Sie erhalten einen Bericht mit Management-Zusammenfassung und technischem Teil.
- Nachtest: Nach der Behebung prüfen wir die gefundenen Schwachstellen erneut und bestätigen, was geschlossen ist.
Viele Funde lassen sich schon vorab vermeiden. Die Ratgeber zu SQL-Injection in PHP, sicheren Datei-Uploads und Sessions in PHP helfen Entwicklern bei der Vorbereitung.
Was Sie bekommen und was wir brauchen
Der Bericht enthält jede gefundene Schwachstelle mit Beschreibung, betroffener Stelle, Risikobewertung und konkreter Empfehlung zur Behebung. Eine Zusammenfassung für die Geschäftsführung ordnet die Ergebnisse ohne Fachjargon ein. Nach dem Nachtest erhalten Sie eine Bestätigung, welche Punkte behoben sind. Angriffswerkzeuge oder ausführbare Exploits sind nicht Teil des Berichts.
Wir brauchen von Ihnen:
- eine schriftliche Erlaubnis der berechtigten Person für jedes zu testende System, auch wenn es bei einem Hoster liegt
- Testkonten mit den Rollen, die geprüft werden sollen
- eine Testumgebung oder die Freigabe, in der Live-Umgebung in einem Zeitfenster zu testen
- einen technischen Ansprechpartner während des Tests
- bei Code-Review: Zugriff auf das Repository
Was wir nicht versprechen
Ein Penetrationstest findet nicht jede Lücke. Er ist eine Momentaufnahme im vereinbarten Umfang; neue Funktionen oder neue Lücken in Abhängigkeiten können morgen ein anderes Bild ergeben. Wir nennen keine Zertifikate oder Siegel, die wir nicht haben, und stellen keine Bescheinigungen aus, die rechtliche Pflichten ersetzen. Ob ein Test Ihre Pflichten etwa nach NIS2 erfüllt, klären Sie mit Ihren Fachleuten für Recht und Compliance.
Die Behebung der Funde übernehmen wir auf Wunsch selbst oder gemeinsam mit Ihrer Agentur. Für Server und PHP-Konfiguration bietet sich die Server-Härtung an.
Häufige Fragen
Was ist der Unterschied zwischen Sicherheitsaudit und Penetrationstest?
Ein Audit prüft Konfiguration, Prozesse und Code anhand von Vorgaben und Erfahrungswerten, oft mit Einsicht in die Systeme. Ein Penetrationstest versucht gezielt und mit Ihrer Erlaubnis, Schwachstellen auszunutzen, um ihre tatsächliche Wirkung zu zeigen. Beides ergänzt sich.
Ist ein Penetrationstest für meine PHP-Anwendung gefährlich?
Ein Test kann Systeme belasten oder Daten verändern. Deshalb werden Umfang, Zeitfenster und Grenzen vorher schriftlich festgelegt, und wir empfehlen, wo möglich eine Testumgebung zu nutzen. Ein aktuelles Backup gehört immer dazu.
Findet ein Penetrationstest alle Sicherheitslücken?
Nein. Ein Test zeigt die Schwachstellen, die im vereinbarten Umfang und Zeitraum gefunden wurden. Er ist eine Momentaufnahme und senkt das Risiko, beweist aber nicht, dass keine weiteren Lücken existieren.
Hilft ein Penetrationstest bei NIS2?
Regelmäßige Prüfungen der Sicherheitsmaßnahmen sind ein üblicher Baustein, um Pflichten zum Risikomanagement zu erfüllen. Welche Anforderungen für Ihr Unternehmen konkret gelten, klären Sie bitte mit Fachleuten für Recht und Compliance.